ThreatQwen: Domain-Adaptive Fine-Tuning of a 1.7B LLM for Security Event Classification and SOC Triage

Todos os dias, equipes de segurança em bancos, hospitais e agências governamentais enfrentam uma enxurrada de alarmes digitais. Esses alertas são disparados por sistemas automatizados que buscam padrões suspeitos em registros de computador, como movimentos de arquivos incomuns ou conexões de rede estranhas. Embora esses sistemas sejam excelentes em detectar potenciais ameaças, eles não conseguem decidir se um alerta é um perigo real ou um erro inofensivo. Esse julgamento final, conhecido como triagem, tradicionalmente exigiu que um analista humano lesse os dados brutos e raccinasse sobre a situação. Esse processo manual é lento e frequentemente sobrecarregado pelo enorme volume de alertas. Nos últimos anos, modelos poderosos de inteligência artificial mostraram que podem realizar esse tipo de raciocínio, mas as organizações que mais precisam dessa ajuda muitas vezes não podem utilizá-los. Regras de segurança rigorosas e leis de privacidade impedem que essas equipes enviem seus registros sensíveis para servidores externos onde residem esses grandes modelos. Elas precisam de uma solução que possa pensar como um especialista, mas que permaneça inteiramente dentro de suas próprias paredes seguras.

Um novo estudo apresenta uma solução chamada ThreatQwen, um modelo de inteligência artificial pequeno e especializado, projetado para rodar localmente em hardware de computador padrão sem precisar de conexão com a internet. O pesquisador pegou um modelo de linguagem compacto, que é um tipo de software treinado para entender e gerar linguagem humana, e o ensinou especificamente como analisar alertas de segurança. Eles alimentaram o modelo com uma coleção massiva de regras de detecção do mundo real e exemplos sintéticos de atividade normal de computador, ensinando-o a distinguir entre ameaças genuínas e eventos inofensivos. O resultado é uma ferramenta que pode residir em um único computador em um escritório seguro, ler um alerta e imediatamente dizer a um operador humano se ele é malicioso ou benigno. Essa abordagem permite que organizações altamente regulamentadas utilizem o raciocínio de inteligência artificial avançada sem nunca expor seus dados privados ao mundo exterior.

O desafio central que o pesquisador abordou foi que a maioria dos modelos de inteligência artificial existentes é grande demais para rodar em máquinas locais e não é treinada na linguagem específica dos registros de segurança. Para resolver isso, a equipe construiu um conjunto de dados de treinamento combinando milhares de regras de detecção reais de projetos de código aberto com milhares de novos exemplos de comportamento normal de computador. Eles usaram uma inteligência artificial externa poderosa para gerar esses exemplos normais, garantindo que o modelo visse uma mistura equilibrada de eventos perigosos e seguros. Isso foi crucial porque os dados originais eram fortemente enviesados para ameaças; sem os exemplos adicionais de atividade normal, o modelo teria aprendido a simplesmente rotular tudo como perigoso. Ao equilibrar cuidadosamente os dados de treinamento e remover certos campos que funcionavam como atalhos fáceis, o pesquisador forçou o modelo a realmente aprender os padrões dos eventos, em vez de adivinhar com base em pistas superficiais.

O modelo foi então ajustado utilizando uma técnica que permite que ele aprenda novas tarefas sem a necessidade de ser completamente reconstruído, um processo que levou apenas algumas horas em uma placa de vídeo padrão. Quando testado em um conjunto de 8,82 exemplos, divididos igualmente entre ameaças reais e eventos normais, o novo modelo alcançou uma precisão de 95,1 por cento. Ele identificou corretamente 96,1 por cento das ameaças reais e 94,2 por cento dos eventos normais. Em uma comparação direta, este modelo pequeno, que roda localmente, superou significativamente dois dos sistemas de inteligência artificial baseados em nuvem mais avançados do mundo, que pontuaram abaixo de 52 por cento de precisão nas mesmas tarefas. Os modelos em nuvem tendiam a adivinhar que quase tudo era uma ameaça, falhando em reconhecer a atividade normal, enquanto o novo modelo aprendeu as diferenças sutis que importam para os especialistas em segurança.

O que torna este desenvolvimento particularmente significativo é sua praticidade para operações de segurança do mundo real. Todo o modelo, incluindo seu treinamento especializado, cabe em apenas 3,1 gigabytes de memória de computador, o que é pequeno o suficiente para rodar em uma única placa de vídeo de nível de consumidor encontrada em muitos escritórios. Ele não requer conexão de rede, o que significa que pode ser implantado em ambientes "air-gapped", onde os computadores estão fisicamente isolados da internet por motivos de segurança. Isso permite que bancos, contratantes de defesa e agências de inteligência automatizem a revisão inicial de milhões de alertas sem violar regulamentações de privacidade de dados. O pesquisador também observou que rodar este modelo localmente é vastamente mais barato do que pagar por serviços em nuvem, custando menos de dois dólares por dia para processamento de alto volume, comparado a quase vinte dólares para o mesmo trabalho em uma plataforma de nuvem.

O estudo possui limitações que o autor reconhece abertamente. Os dados de treinamento e os exemplos de teste para comportamento normal foram gerados por computadores, em vez de serem retirados diretamente de redes reais do mundo real. Embora as regras de detecção tenham sido baseadas em técnicas reais de atacantes observadas no campo, o modelo ainda não foi testado contra os fluxos de dados complexos e desordenados de um centro de segurança ao vivo. O pesquisador afirma que o próximo passo crítico é validar o modelo contra telemetria do mundo real para garantir que ele generalize bem além dos exemplos sintéticos usados no estudo. Além disso, o modelo atualmente compreende apenas o inglês, deixando de fora fontes de inteligência de ameaças não inglesas. Apesar dessas ressalvas, o trabalho demonstra que um modelo pequeno e de código aberto, quando cuidadosamente treinado com os dados certos, pode realizar tarefas de segurança especializadas melhor do que sistemas massivos e de propósito geral, oferecendo um caminho viável para a inteligência artificial local e segura em infraestruturas críticas.